Compliance Sentinel
Поток финансовых операций / событий безопасности → детекция аномалий через rules + ML + graph-анализ → топ-10 в день с LLM-объяснением «почему подозрительно».
SOC-команда compliance получает сотни алертов в день. Большинство — false-positive. Аналитик тратит 5–10 минут на каждый: смотреть транзакцию, искать связи, формулировать вердикт. Реальные attacks тонут в шуме. Compliance Sentinel снижает шум в 10–20 раз и объясняет каждый алерт человеческим языком.
Три слоя детекции, один объяснимый алерт
Rules + ML + Graph — каждый слой ловит свой тип атак. Финальный alert — pendant с весами и LLM-объяснением, какие признаки сработали и почему этот случай подозрителен.
Пошаговая архитектура
Event ingestion
Kafka + batch ETL. Источники: банк, ERP, AD/LDAP, DLP, email outbound.
Rules engine
YAML-декларативные правила: «крупный перевод на нового контрагента», «выгрузка >X записей».
ML anomaly
Isolation Forest + autoencoder на per-user профилях. Аномалия — это «не как обычно для этого юзера».
Graph analysis
Cluster detection (Louvain) на графе counterparty: выявление сговоров и схем.
LLM-explanation
Текстовое описание: «новый контрагент + сумма 4× выше нормы + нерабочее время + связан с подозрительным кластером».
Стек, который не запирает
Kafka + ClickHouse для real-time event-stream и storage
Python rules engine — YAML декларативные правила с hot-reload
PyOD + custom autoencoders для anomaly detection
NetworkX для graph analytics, Louvain для community detection
GigaChat для генерации explanation'ов
Audit-log: иммутабельный snapshot всех данных алерта на момент создания
Идеально для
- Банки, fintech (AML / fraud)
- Enterprise SOC (внутренняя безопасность, exfiltration)
- E-com — fraud detection в платежах
- ERP-команды — внутренние злоупотребления в финансовых операциях
- DLP-команды — утечки данных
Границы кейса
- Не блокирует операцию автоматически — это решение SOC
- Не идентифицирует пользователей — мы получаем уже identifier'ы
- Не делает forensics (это контур incident-response)
- Не работает на crypto без отдельного coin-traceability layer
Частые вопросы
Один Python-worker: 5000 events/sec rules + ML. Graph-анализ запускается асинхронно на triggered alerts.
Что ещё может пригодиться
Покажем на ваших данных
за 1-2 недели
Подключаемся к ограниченной выборке, разворачиваем PoC на ваших реальных кейсах. Оценка качества, точности и UX — на вашей специфике, не на наших красивых демо.